奥地利邮政违规通过统计分析推断公民政治倾向数据并非法存储案

【案件背景】
2020年，奥地利数据保护局（DSB）发现奥地利邮政（Österreichische Post）在未获得数据主体有效同意的情况下，利用统计推断方法从地址、年龄、性别等基本信息计算出公民的政治倾向标签（如'可能支持某政党'、'政治倾向偏右'等），并将这些推断数据存储在其内部营销数据库中用于商业目的。

【违法事实】
一是违规创建并存储特殊类别数据——通过对公开可获取数据的统计分析推断政治观点，构成了GDPR第9条意义上的特殊类别数据处理，奥地利邮政未获得数据主体的明确同意，也未满足任何GDPR第9(2)条列出的豁免条件；二是推断数据的准确性问题——统计推断并非精确测量，存在大量误判，但奥地利邮政将这些推断当作准确的信息存储和使用；三是数据最小化原则被严重违反——奥地利邮政对全国约300万公民创建了政治倾向画像，其中绝大多数人从未同意也不知晓自己已成为推断对象；四是这些敏感推断数据的存储安全措施与其敏感程度严重不匹配。

【处罚决定】
奥地利DSB依据GDPR第5条、第6条和第9条，对奥地利邮政处以1800万欧元罚款，要求立即删除所有基于统计推断创建的政治倾向标签数据。奥地利邮政在法庭上辩称推断数据不构成GDPR意义上的'个人数据'，但被法院驳回。

【典型意义】
一是确立了'推断数据即个人数据'的重要原则——即使是通过统计学方法从非敏感数据推断出的结论，只要能够关联到特定自然人即构成个人数据；二是推断特殊类别数据同样受GDPR第9条最严格保护——不能因为数据是通过推断而非直接收集获得的就降低保护标准；三是大规模人群画像的数据存储构成一种新形式的权力集中——警示企业和公共机构注意推断数据存储的内在伦理风险。